Mohamed Ghazi

Mise en place d’une gouvernance de la sécurité applicative : - Mise en place de directives/politiques de sécurité applicative - Mise en place de plan d'audit de risque de sécurité applicative - Mise en place et animation de programmes de sensibilisations et formations à la sécurité applicative - Mise en place d'un plan de gestion des incidents de sécurité applicative - Assurer le suivi du respect des processus de sécurité dans les projets Mise en place d’une gestion opérationnelle de la sécurité applicative : - Mise en place d’un outil d'audit de code SAST & SCA pour les équipes de développement (Veracode) - Animer les séances de sensibilisations et formations à la sécurité applicative - Suivre l'implémentation des exigences de sécurité dans les projets - Mise en place d’un outil sur la conteneurisation (images et conteneurs/runtime) - Mise en place d’un outil d'audit sur l'Infrastructure As Code (IaC) - Effectuer des pentests de projets en vue d'un passage en production - Mettre en place des mécanismes de sécurité dans la "CI/CD" (Intégration Continue & Déploiement Continu) - Mise en place d’une solution de protections des API (Imperva, Akamai/Noname, Checkpoint) - Etablir des déclinaisons très techniques d’exigence de sécurité applicative Environnement : Veracode, Snyk, JAVA, PHP, C#, Python, Typescript, API REST, JWT, EntraID (SSO), Azure DevOps, Microsoft Azure

Sensibilisation à la sécurité applicative : • Définition et mise en œuvre d’un outil de sensibilisation • Sensibiliser les développeurs sur les bonnes pratiques de développement • Animation de séance « CTF » (Capture The Flag) avec les développeurs Conception : • Définir et maintenir les exigences de sécurité (OWASP) • Participer aux réflexions et aux choix des architectures sur le plan sécurité Codes & Tests : • Mis en place mécanismes de sécurité dans la « CI/CD » (Intégration Continue & Déploiement Continu) • Intégrer des scans automatiques Checkmarx (JenkinsJob) • Validation via un plan de test manuel suivant le contexte du projet Déploiements : • Scans réguliers des sites en production (Acunetix, Nessus) • Test de pénétration manuel Suivi de projets : • Suivi de la mise en place des recommandations sécurité (JIRA) Audit de sécurité : • Test de penetration web (Acunetix, BurpSuite, Kali, …) • Audit de code (Checkmarx) Environnement : JAVA, J2EE, AngularJS, PHP, Symfony, API REST, JWT, SSO, JIRA, Jenkins

• Audit de configuration Windows et Linux • Conformité CIS Windows Server • Conformité CIS Debian Linux • Analyse manuelle complémentaire • Audit de mécanisme d’authentification • Authentification à double facteur • Authentification forte • Audit de sécurité sur une infrastructure Client-Serveur • Etude de l’architecture • Etude de la configuration • Attaque et injection de trafic • Récupération des informations trouvées • Audit de sécurité sur des applications Web • Collecte d’information sur l’application • Scan automatique pour détection de point d’entrée • Scan manuelle complémentaire • Tentative de pénétration et d’injection • Récupération des informations trouvées • Nombreuses missions d'audit de sécurité pour mes clients sécurité pour mes clients.

* Audit de sécurité sur des applications Web - Collecte d’information sur l’application - Scan automatique pour détection de point d’entrée - Scan manuelle complémentaire - Tentative de pénétration et d’injection - Récupération des informations trouvées * Audit de sécurité sur des réseaux - Cartographie du réseau - Collecte d’information sur le réseau et ses hôtes - Vérification des ports et services faillibles - Tentative de pénétration et d’injection - Récupération des informations trouvées * Audit de sécurité sur une infrastructure Client-Serveur - Etude de l’architecture - Etude de la configuration - Attaque et injection de trafic - Récupération des informations trouvées * Audit de sécurité sur des équipements spécifiques clients (Routeur, Pare-feu, Domotique, ...) - Analyse des vulnérabilités OS - Détection des ports, services et applications faillibles - Etude de la configuration - Tentative de pénétration et d’injection * Réalisation de campagne de phishing interne - Mise en place du scénario d’attaque par mail - Création du mail de phishing avec pièce jointe infectée - Remontée des indicateurs de la campagne de phishing - Sensibilisation au phishing des collaborateurs * Rédaction d’un livrable sur les failles de sécurités recensées * Conseil dans la sécurisation des infrastructures Projets réalisés : - 2019 : Audit de sécurité sur un système domotique - 2019 : Mise en conformité d’application avec le RGPD - 2018 : Gestion des campagnes de phishing interne - 2018 : Déploiement de machines virtuelles sur des hyperviseurs VMware et Hyper-V - 2018 : Développement et Exploitation d’une station de « Hash Cracking » basé sur les GPU - 2018 : Projet de qualification PASSI Environnement technique : WAF, Firewall, MySQL, TCP/IP, NMAP, Wireshark, FireEye, VMware, Hyper-V, Kali Linux, Raspberry-PI, brute force, attaque par dictionnaire, Man in the Middle, ANSSI, Certification PASSI, OWASP, Cyber sécurité, ISO-27001.

* Audit de sécurité sur réseau, système, site web, support. - Réaliser des tests d’intrusion - Réaliser des audits d’architecture - Réaliser des audits de configuration - Réaliser des audits de code * Intégration de la sécurité dans les projets - Pendant la phase d’étude : Dresser les exigences de sécurité Proposer l’architecture sur le plan sécurité - Pendant la phase de réalisation : Développement : Analyser et auditer le code Assister les développeurs sur le plan sécurité Intégration : Support sécurité pour les équipes d’intégration Validation : Dresser une stratégie de test sécurité Valider la conformité sécurité du projet Pendant le cycle de vie en production : Maintenance sécurité * Support de sécurité - Conseiller sur la solution de sécurité * Veille sécuritaire - Relation avec des partenaires de surveillance des nouvelles menaces. Utilisation d’outils en ligne (CVEDetails, MITRE, …). * Gestion des risques - Analyser, qualifier et dresser des analyses de risques. - Recommandation permettant de réduire les risques. - Maintenir les analyses de risque à jour. * Réaction à incident sécurité - Elaboration des plans d’action. - Suivi des plans d’action. Projets réalisés : - 2017 : Audit de sécurité/pentest de l’infrastructure IPv6 sur les plateformes de services mobiles. - 2017 : Mise en place de Scheluder de test sur des routeurs en solution Cloud. - 2017 : Audit de sécurité/pentest sur des firmwares de routeurs. - 2017 : Migration d’un infrastructure Bi-Vlan vers Mono-Vlan sur ligne FTTH. - 2017 : Audit de sécurité/pentest sur nouveau répéteur Wi-Fi TP-Link. - 2017 : Mise en place d’une plateforme cloud de micropaiement sécurisé. - 2017 : Durcissement de firmware linux. - 2017 : Mise en place d’authentification mutuelle sur TLS & SSH. - 2017 : Mise en place de bootloader sécurisé. - 2017 : Sécurisation de la VoIP.